Was wir tun · Netzwerk: Managed Perimeter-Firewalls
Öffentlich erreichbare Dienste in Athen stehen hinter redundanten, zustandsbehafteten Firewall-Paaren mit einer Default-Deny-Richtlinie pro Host, Threat Intelligence und Blockierung auf Länderebene, und mit der Option, einen Dienst nur für ein einziges Land zu öffnen. Jede Regel ist nach dem Host benannt, den sie schützt, jede Änderung läuft über eine API mit vorherigem Backup, und jede Firewall meldet an unser zentrales Logging.
Was es ist
Ein betreuter Perimeter: die Firewalls vor Ihren öffentlichen Adressen, von uns als Teil des Netzwerks betrieben statt als Box, die Sie allein konfigurieren. Sie sagen uns, was jeder Dienst wem gegenüber freigeben muss. Wir bauen es als benannte, dokumentierte Richtlinie, halten es aktuell und beweisen es von außen.
Wie wir es bauen
- Hochverfügbarkeit by design. OPNsense-Firewalls laufen als Aktiv-Standby-Paare. CARP-virtuelle Adressen decken sowohl die Upstream-Seite als auch Ihr Gateway ab, und pfsync repliziert den Verbindungszustand zwischen den Knoten, sodass ein Knotenausfall ein zustandsbehaftetes Failover unter einer Sekunde ist.
- Eine Richtlinie, die sich selbst dokumentiert. Jeder aufgenommene Host bekommt seinen eigenen benannten Alias und seine eigenen Regeln.
- Ein geordneter Blockier-Stapel. Verkehr trifft zuerst auf eine kombinierte Threat-Intelligence-Liste aus mehreren Reputationsquellen, dann auf eine einheitliche Länder-Blockliste, dann auf einen Block missbräuchlicher Hosting-Bereiche, und erst dann auf die Freigaben pro Host. Wenn Ihr Publikum in einem Land sitzt, können Sie stattdessen eine Allow-Liste mit dem Adressraum dieses Landes bekommen.
- Für echte Angriffe abgestimmt. Die Paketverarbeitung ist über CPU-Kerne verteilt, mit auf jede Appliance abgestimmter Thread-Zahl. UDP-lastige öffentliche Dienste werden zustandslos behandelt, damit sie die Verbindungstabelle nicht erschöpfen, und die SYN-Flood-Abwehr nutzt adaptive Cookies und Timeouts, die aus der Arithmetik der Zustandstabelle dimensioniert sind.
- Über die API geändert, nie von Hand. Jede Änderung erfolgt über die OPNsense-REST-API, und das Ergebnis wird von einem externen Beobachtungspunkt aus geprüft.
- Backup-Pfade in eine Richtung. Die Produktion hat keinen Netzwerkpfad zur Backup-Infrastruktur. Backup-Systeme holen; die Produktion schiebt nie. Das wird mit Deny-Regeln auf den Firewall-Appliances selbst durchgesetzt, nicht auf den Hosts.
- Logging, das nicht verstummen kann. Ein Watchdog setzt die Logging-Konfiguration jeder Firewall per Timer erneut, sodass eine Firewall nie unbemerkt aufhören kann, an Graylog zu melden.
Wir betreiben sowohl Cisco Firepower als auch OPNsense, und wenn wir ein Segment von einer Firewall-Plattform auf eine andere umziehen, folgen wir einer schriftlichen, stufenweisen Methode: Die neue Firewall tritt dem Routing bei, ohne etwas zu announcieren, und übernimmt dann ein VLAN nach dem anderen mit einem skriptgesteuerten Cutover und einem automatischen, per Ping abgesicherten Rollback.
Wovor es Sie schützt
- Vor Brute-Force- und Scan-Verkehr aus bekannt bösartigen Quellen und aus Ländern, in denen Sie kein Publikum haben.
- Davor, dass ein Firewall-Ausfall jede Session abreißen lässt.
- Vor der Erschöpfung der Verbindungstabelle durch UDP- oder SYN-Fluten.
- Vor undokumentierten Regeln, die niemand zu entfernen wagt.
- Vor einem Sicherheitslog, das still ins Leere läuft, bis zu dem Tag, an dem Sie es brauchen.
In der Praxis
Ein CRM, nur für ein Land offen. CRM und Testumgebung eines Einzelhandelskunden wurden so aufgenommen, dass Web- und Admin-Zugriff nur aus dem Land erlaubt ist, das sie bedienen, alles andere verweigert, und auf beiden Firewall-Knoten verifiziert. Als das Unternehmen zwei weitere Länder brauchte, haben wir sie am nächsten Tag ergänzt.
Warum EuroVPS
- Redundante Paare mit zustandsbehaftetem Failover, nicht eine einzelne Firewall.
- Eine benannte Default-Deny-Richtlinie pro Host, die Sie lesen können.
- Threat Intelligence, Länderblockierung und Allow-Listen für ein einzelnes Land als Standardoptionen.
- Änderungen nur über die API, und zentrales Logging, das selbst überwacht wird.
- Backup-Netze, die die Produktion nicht erreichen kann, durchgesetzt an der Firewall.
Häufige Fragen
Kann ich meinen Dienst auf Besucher aus einem Land beschränken? Ja. Wir ersetzen den Standard-Blockierstapel durch eine Allow-Liste mit dem Adressraum dieses Landes und können später Länder hinzufügen.
Was passiert, wenn ein Firewall-Knoten ausfällt? Der Standby übernimmt die virtuellen Adressen und den bestehenden Verbindungszustand, typischerweise in unter einer Sekunde.
Kann ich Regeländerungen einsehen oder anfordern? Ja. Regeln sind pro Host benannt, sodass wir Ihnen genau zeigen können, was für jeden Dienst offen ist, und es auf Wunsch ändern.
Blockieren Sie Angriffe automatisch? Ja. Threat-Intelligence-, Länder- und Missbrauchsbereichslisten werden vor Ihren eigenen Regeln angewendet und aktuell gehalten.
Wenn Sie Ihre öffentlichen Dienste hinter einem Perimeter wollen, der so gebaut und überwacht wird, sprechen Sie mit einem Ingenieur.
Ihr nächster Infrastrukturpartner
Sehen wir uns Ihre Umgebung an.
Erzählen Sie uns, was Sie heute betreiben und was besser werden muss. Ein Ingenieur sieht Ihre Anfrage durch und hilft Ihnen, den nächsten Schritt zu planen.
+357 222 32280
Beginnen wir mit Ihrer Umgebung.
Ein wenig Kontext hilft uns, das richtige Gespräch zu beginnen.